您的公司是数据经纪人吗？合规风险与定义

数据经纪人的隐性定义

多年来，“数据经纪人”一词总让人联想到兜售邮寄名单的神秘聚合商。然而，近期的执法行动表明监管机构对该角色的定义发生了转变。2026年8月，California Privacy Protection Agency (CalPrivacy) 根据 CCPA 和 Delete Act 发布了首批联合执法行动，因未注册为数据经纪人，分别对 LocateSmarter 处以已披露的 $110,490 罚款（https://www.jdsupra.com/legalnews/calprivacy-settles-with-two-data-8857468/）和对 Cybba 处以已披露的 $52,400 罚款（https://www.gov.ca.gov/2026/08/13/icymi-california-takes-historic-action-against-data-brokers/）。这些公司并非传统的聚合商，但它们符合许多中小企业目前忽视的法定标准。

数据经纪人的法律定义看似简单：指明知而收集并向第三方出售与其没有直接关系的消费者的个人信息的业务实体。如果您的机构正在将包含第三方洞察的数据集货币化，在法律眼中，您可能已经作为经纪人在运作。了解在 GDPR 和美国州级法律下您可以合法出售的内容是避免这些不断升级的处罚的第一步。

“直接关系”试金石

大多数执法行动的关键点在于“直接关系”测试。如果消费者是当前或以前的客户，或者以其他方式与您的业务有直接互动，则存在直接关系。如果您处理从合作伙伴、公共记录或第三方 API 获取的数据，并随后许可该数据——即使是以增强或匿名化的形式——直接关系就会断裂。在那一刻，您就成为了数据经纪人。

监管机构正越来越多地关注“影子经纪人”——即提供营销归因、身份解析或信用风险建模的公司。如果您出售的数据不是由您的实体直接从个人那里收集的，您可能需要进行注册。对于在我们的数据集目录中探索以获取或提供高价值 AI 训练数据的公司来说，这一点尤为关键；数据的来源决定了监管负担。

多州注册要求：CA、TX 和 OR

虽然加利福尼亚州的 Delete Act (SB 362) 最为激进，但它并非唯一的障碍。截至 2026年，已有多个州实施了具有不同门槛的强制注册制度：

• 加利福尼亚州：要求在 1月31日之前进行年度注册。未注册将导致每天 $200 的已披露行政罚款（https://www.jdsupra.com/legalnews/calprivacy-settles-with-two-data-8857468/）。
• 德克萨斯州：《数据经纪人透明度法案》要求收入 50% 以上来自数据经纪业务，或处理超过 50,000 名个人数据的企业必须注册，否则将面临每次违规最高 $10,000 的处罚。
• 俄勒冈州：要求任何持有超过 10,000 名俄勒冈州居民数据并向第三方出售该数据的实体进行注册。

根据行业基准，中型企业的估计合规成本——包括注册费、法律审计和“删除所有”请求的实施——每年在 $15,000 到 $50,000 之间。然而，违规成本要高得多，最近出现的五位数和六位数和解金就证明了这一点。

违规的财务和运营风险

除了直接的行政罚款外，被贴上“违规数据经纪人”的标签对数据驱动型企业来说还带有生存风险。机构数据买家，尤其是 AI 和金融领域的买家，现在会对数据来源进行严格的尽职调查。未能根据 Delete Act 进行注册可能会使数据集变得“有毒”，导致担心承担次要责任的大型科技公司无法获得其许可。

此外，加利福尼亚州的 Delete Act 规定，到 2026年，该州将提供一个单一的“可访问删除机制”，允许消费者一键从所有注册经纪人处删除其数据。如果您未注册，则无法集成此机制，这将使您直接违反消费者权益，并引发集体诉讼。

这对您意味着什么

对于数据所有者来说，“意外经纪”的时代已经结束。您必须审计您的数据供应链，以确定您是否正在出售与您缺乏直接关系的消费者的信息。如果您属于这一类别，注册不再是可选的——它是参与市场的先决条件。对于 d-nvest 上的买家来说，确保您的合作伙伴遵守州级经纪人法律是保证您的 AI 模型和数据资产长期可行性的唯一途径。合规不仅是一个法律障碍；它还是数据质量和机构准备就绪的信号。